本期检索范围： 2026-08-10—2026-08-11

本期共筛选出 10 项。最新公开批次的主线是：攻击开始从单轮提示扩展到跨页面、跨载体和跨 Agent 的持久化链路；Harness Optimization 则更强调验证门、可撤销记忆与“可演化性”而非单次得分。没有论文版本更新或项目重大更新；发现 3 个随论文发布且包含实质代码的新仓库，没有值得单独收录的新项目。由于 arXiv 周末后的集中发布机制，本期条目的原始提交日期为 2026-08-06 或 2026-08-07。

1. HarnessSafe: Evaluating Safety Across Persistent Carriers in Agent Harnesses

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Xiao Zhang、Yusheng Wang、Yuhao Fei、Dongyuan Li、Zian Liang、Liuyu Xiang、Hongxun Gu、Zhaofeng He
  • 日期： 2026-08-07
  • 链接： 论文
  • 核心内容： HarnessSafe 提出 Persistent-Risk Lifecycle，用 328 个可执行案例覆盖七类持久载体，并沿“攻击进入—跨载体或系统边界持久化—后续良性任务触发—可观察违规”追踪风险。实验显示，端到端攻击成功率会掩盖生命周期中的传播位置，而且防护效果高度依赖具体载体及 harness–model 组合。
  • 与你的方向关系： 直接连接 Agent Security、持久化 prompt injection、memory/skill-file security 与 harness-dependent evaluation；其分阶段 trace 指标适合检验安全控制究竟在哪一层失效。
  • 建议： 精读。优先核对七类 carrier 的威胁覆盖、阶段判定规则，以及是否能迁移为 harness 回归测试门。

2. StepJack: Benchmarking Computer-Use Agent Safety Against Multi-Step Indirect Prompt Injection

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Zhuoxin Zhan、Akbar Rafiey、Avery Ma、Leila Pishdad、Layla El Asri；BorealisAI
  • 日期： 2026-08-06
  • 链接： 论文 · 代码
  • 核心内容： StepJack 将一个恶意目标拆成分布于相互链接页面的多个表面无害子步骤，构造 480 个样例并评估六种 computer-use agents。在固定分解深度下，三种 Agent 的攻击成功率最高增加 31.2 个百分点；仓库提供数据、自动分解、桌面环境、Agent 适配与实验脚本，而非仅有 README。
  • 与你的方向关系： 这是 indirect prompt injection 从“单页恶意文本”升级为“跨页面组合攻击”的直接证据，要求 harness 对跨导航历史做意图聚合与信息流追踪。
  • 建议： 精读并复现实验。重点比较分解深度、页面链接结构与 action gate 的关系，并测试现有注入检测器能否识别组合后才显现的恶意目标。

3. SynChain: Inducing Computer-Use Agent Systems to Construct Their Own Attack Chains

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Fuyao Zhang、Jiaming Zhang、Che Wang、Boyang Chen、Yurong Hao、Xiongtao Sun、Guowei Guan、Blaise Delattre、Yang Cao、Wei Yang Bryan Lim
  • 日期： 2026-08-07
  • 链接： 论文
  • 核心内容： SynChain 把恶意影响嵌入 Agent 自主生成的 skill、memory 与 artifact 的结构冗余中，使系统在后续任务里自行拼接出攻击链。作者构建含 30 条良性任务链和三类攻击目标的 CUAChain，并在 OpenClaw、Codex、Claude Code 及四种防御下评估；休眠载荷可在没有新恶意外部输入时再次激活。
  • 与你的方向关系： 工作直接覆盖持久指令、code/skill-as-memory 与 self-evolving agent 的供应链风险，说明“由 Agent 自己写入”不能作为可信来源判据。
  • 建议： 精读。重点检查 payload 在合成、存储和复用阶段的可见性，以及可否通过 provenance、capability manifest 和写入前审计切断链路。

4. An End-to-End Agent Auditing Engine

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub
  • 作者 / 维护者： Haoning Wang、Mingxun Zhang、Chenyue Yu、Yingjun Shang、Xia Hu、Guanchu Wang、Na Zou；DataMLLab
  • 日期： 2026-08-07
  • 链接： 论文 · 代码
  • 核心内容： A²E 通过 Agent Task Protocol 连接不同 benchmark 与 harness，自动采集标准化 LLM/tool execution traces，并从正确性、效率、工具使用、规划和错误恢复等维度审计。官方仓库包含任务适配、监控、评估、服务端和可视化 UI，支持多类 agent framework 与 benchmark；论文观察到不存在跨任务始终占优的单一 model–harness 组合。
  • 与你的方向关系： 它为 Harness Optimization 提供统一的过程级观测与对比基础，也可承载安全属性、权限违规和提示注入传播的自定义 evaluator。
  • 建议： 精读论文，试跑代码。最值得验证的是 ATP 的适配成本、trace 完整性，以及加入安全回归门后能否稳定比较 harness 变体。

5. EMAS: Stabilizing Multi-Agent System Evolution through Evidence-Guided Revision

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Chao Fei、Qingyi Si、Kaihua Liang、Yanghua Xiao、Panos Kalnis、Hongcheng Guo
  • 日期： 2026-08-07
  • 链接： 论文
  • 核心内容： EMAS 在不更新模型权重的情况下修改多 Agent 拓扑和提示：先把失败轨迹转成带操作与目标的结构化诊断，只在同类诊断跨样本重复出现时生成候选，再通过与当前系统成对验证决定是否接受。论文在四个 benchmark、两个 LLM 上报告最高任务加权准确率，并展示准确率提升与 token 成本下降可以同时出现。
  • 与你的方向关系： 这是 scaffold/controller optimization 的强相关方法，尤其贴近证据聚合、有限编辑和 held-out regression gate；它也让多 Agent 架构演化更可审计。
  • 建议： 精读。重点比较“重复诊断触发”与历史经验蒸馏的差异，并检查成对验证是否足以防止局部过拟合和安全回退。

6. SkillProx: Self-Evolving Agent Skills via Proximal Textual Gradient Descent

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Mingxuan Zheng、Yujin Zhou、Chuxue Cao、Boqin Yin、Yuyao Zhang、Jiapeng Sun、Shuaishuai Gong、Sirui Han、Yike Guo
  • 日期： 2026-08-07
  • 链接： 论文
  • 核心内容： SkillProx 用前向—后向框架稳定 skill 演化：前向阶段在同一批次重执行诊断驱动的编辑并回滚退化，后向阶段把 skill 拆为可审计知识单元，用冻结的 leave-one-out utility audit 决定合并、降级或移除。作者报告其在 ID/OOD、多种 backbone 设置下较最强 textual-gradient 基线平均提升 3.0 个百分点。
  • 与你的方向关系： 与 executable harness learning、持久 skill 优化和 self-evolving agents 直接相关；知识单元审计与回滚机制也为“增长但不累积无效规则”提供了实现参考。
  • 建议： 精读。关注 proximal 约束如何落实、同批重执行是否引入选择偏差，以及 leave-one-out 审计在大规模 skill 库中的成本。

7. When Context Bites: Detecting RAG Poisoning via Document-Level Attention Collapse

  • 类型 / 来源： 新论文 + 新代码仓库｜arXiv / GitHub（SIGIR 2026）
  • 作者 / 维护者： Yingtao Ren、Ziyi Zhao、Yiwei Fu、Xiao Luo、Yu-Cheng Chang、Chin-Teng Lin
  • 日期： 2026-08-07
  • 链接： 论文 · 代码
  • 核心内容： 论文发现 RAG 中毒输出可能具有更低困惑度，导致基于输出不确定性的检测产生“虚假自信”；相反，攻击会让注意力集中到中毒文档并形成 document-level attention collapse。D-SCAN 监控该内部信号，即使攻击未成功改变最终答案也能检测到异常；仓库提供数据、内部状态收集、特征计算和分析流程。
  • 与你的方向关系： 该方法针对检索内容驱动的间接提示注入与知识库污染，把检测点从输出搬到上下文信息流内部，可作为 tool/RAG ingress guard 的互补信号。
  • 建议： 精读并浏览代码。需重点验证跨模型、长上下文和注意力不可见 API 场景的可迁移性，并与文档 provenance 检查组合评估。

8. TEPA: Revoking Stale Memories for Conflict-Robust Language Agents

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Yan Zhou、Yue Ouyang、Kaiyang Zheng、Suncheng Xiang
  • 日期： 2026-08-07
  • 链接： 论文
  • 核心内容： TEPA 将 observation 表示为 keyed precedent，新证据在同一 key 下发生冲突时撤销旧 precedent，使检索只使用当前有效证据，同时保留撤销历史供审计。在 50 个随机种子的完全反转实验中，TEPA 得分为 0.950，而 append-only、last-write-wins 和无记忆分别为 0.210、0.210、0.309；文件执行环境复现了相同趋势。
  • 与你的方向关系： 与 agent memory lifecycle、语义冲突和持久化状态治理直接相关；显式 revocation 也为记忆投毒后的隔离、恢复与 capability revocation 提供了基础原语。
  • 建议： 精读。重点区分“过期事实撤销”与“恶意记忆识别”，并评估 key 冲突判定、多跳依赖和被撤销内容再激活的安全边界。

9. BONSAI: Evolvability-Guided Tree Search over Skills

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Yash Priya Shastri、Anand Eswaran、Adnan Qidwai、Pankaj Thorat、Sachin Joshi
  • 日期： 2026-08-07
  • 链接： 论文
  • 核心内容： BONSAI 不只按当前 skill 得分搜索，而把其变异邻域的平均表现作为“可演化性”估计，并在 Monte Carlo tree search 的 UCB 中同时使用个体 fitness 与 neighborhood fitness。使用冻结的 30B Agent 在三个 benchmark 上，作者报告 held-out 表现较无 skill 提升 23.13 个百分点，并分别领先 GEPA 和 SkillOpt 3.87、3.97 个百分点。
  • 与你的方向关系： 这是 Harness Optimization 中搜索目标设计的重要相邻工作：它把“未来可改进空间”纳入选择，可用于避免早期收敛到难以继续生长的局部最优 scaffold。
  • 建议： 精读。建议重点复核 evolvability 估计是否真正免费、树搜索预算如何分配，以及对安全约束和代码级编辑能否扩展。

10. When Coordination Becomes a Threat: Communication Attacks in LLM-Controlled Multi-Robot Systems

  • 类型 / 来源： 新论文｜arXiv
  • 作者 / 维护者： Zhen Huang、Zhihuang Liu、Weijia Shi、Yifan Yang、Weishang Wu、Zhiping Cai
  • 日期： 2026-08-07
  • 链接： 论文
  • 核心内容： 论文定义 External Entry Point Attack 与 Privileged In-System Attack，并在三种多机器人通信架构、三个 LLM 和五类具身任务上测试恶意声明如何转化为不安全动作。攻击在各架构均能传播；作者提出 Claim Provenance and Verification Gate，在其实验中把违规率从 70.0% 降至 36.6%。
  • 与你的方向关系： 这是 multi-agent security、跨 Agent 信任传播和 tool-use safety 的具身实例，强调已进入系统的消息不能因“来自同伴 Agent”而自动获得权限。
  • 建议： 浏览。重点收藏 CPV gate 的声明来源与验证接口设计，并与 semantic taint、不可逆 action gate 做横向比较。

今日优先阅读

优先阅读 HarnessSafe、StepJack 和 SynChain。三者共同把威胁模型从单点 prompt injection 推进到跨载体、跨页面和由 Agent 自行构造的持久攻击链，会直接影响 Agent 安全 benchmark 的任务设计、上下文 provenance 策略以及 harness 中 action/memory/skill 写入门的位置。